Kontor Suite

Entwurf – vor Verwendung anwaltlich prüfen. Version Entwurf 2026-10-30, SHA-256 d2a4c8f42a9073f14607aa17d2b7e022b6b2168c75d2fb5ab27791d8e9e5f526.

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) für Kontor Suite

Entwurf – vor Verwendung anwaltlich prüfen. Stand: 30.10.2026. Entwurf zu C5.1 im SaaS-Umsetzungsplan, Prüfung durch den Anwalt: D5. Produktname „Kontor Suite“ (D3, 03.11.2026), in diesem Vertrag kurz „Kontor“; die Markenprüfung steht noch aus. Eckige Klammern [ ] markieren Werte, die noch festzulegen sind. Die Abschnitte „Anmerkungen für die Prüfung“, „Offene Fragen“ und „Quellen“ sind intern und werden vor der Verwendung gestrichen.

Zwischen

§ 1 Gegenstand und Dauer

  1. Wir betreiben für den Kunden eine eigene Instanz von Kontor Suite („Kontor“) als Software as a Service nach den Nutzungsbedingungen (agb-saas.md). Dabei verarbeiten wir personenbezogene Daten im Auftrag des Kunden.
  2. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1.
  3. Der Vertrag gilt, solange der Nutzungsvertrag läuft, und darüber hinaus, bis wir alle Daten nach § 12 gelöscht oder zurückgegeben haben.

§ 2 Verantwortung und Weisungen

  1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, auch für die Rechtsgrundlagen, Einwilligungen und Informationen der betroffenen Personen.
  2. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, das Recht der EU oder Deutschlands verpflichtet uns dazu. Dann teilen wir das dem Kunden vorher mit, soweit das Gesetz es erlaubt.
  3. Weisungen sind:
    1. dieser Vertrag und der Nutzungsvertrag,
    2. die Einstellungen und Handlungen der Nutzer des Kunden in Kontor (zum Beispiel ein Modul einschalten, ein Postfach verbinden, eine Löschung auslösen),
    3. Einzelweisungen der in Anlage 5 genannten Personen in Textform.
  4. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich. Wir dürfen die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 3 Vertraulichkeit

  1. Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.
  2. Sie erhalten nur den Zugang, den ihre Aufgabe erfordert.

§ 4 Technische und organisatorische Maßnahmen

  1. Wir treffen die Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 (toms.md) beschrieben sind.
  2. Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir.

§ 5 Unterauftragsverarbeiter

  1. Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten stehen in Anlage 4 (unterauftragsverarbeiter.md) und gelten als genehmigt.
  2. Wir legen Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.
  3. Änderungen. Einen neuen oder ersetzten Unterauftragsverarbeiter kündigen wir mindestens [30] Tage vorher in Textform an (E-Mail an die Kontaktperson laut Anlage 5 und Hinweis in Kontor).
  4. Einspruch. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung außerordentlich kündigen. Der Datenexport nach § 13 der Nutzungsbedingungen bleibt ihm erhalten.
  5. Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind:
    1. Dienste, die der Kunde selbst bucht und mit Kontor verbindet (zum Beispiel Microsoft 365, Azure DevOps, Lexware Office, Recherche-Dienste mit eigenem Schlüssel). Für sie gilt der Vertrag des Kunden mit dem Anbieter.
    2. Nebenleistungen wie Telekommunikation, Post oder Reinigung.

§ 6 Übermittlung in Drittländer

  1. Wir verarbeiten die Daten in der EU. Eine Übermittlung in ein Land außerhalb der EU und des EWR erfolgt nur, wenn Anlage 4 sie nennt und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel ein Angemessenheitsbeschluss (auch das EU-US Data Privacy Framework) oder Standardvertragsklauseln der EU-Kommission mit einer dokumentierten Prüfung der Übermittlung.
  2. Support aus Drittländern. Unsere Mitarbeitenden und freien Mitarbeitenden außerhalb der EU und des EWR greifen nicht auf die Instanz des Kunden und ihre Daten zu. [Eine Ausnahme gilt nur, wenn Anlage 4 sie nennt, Standardvertragsklauseln (Modul 3) mit einer Prüfung der Übermittlung vorliegen und der Kunde nicht widersprochen hat. – Entscheidung offen.]
  3. Microsoft verarbeitet Daten der Azure-Dienste in der EU (EU Data Boundary). Einzelne Übermittlungen in die USA bleiben möglich, zum Beispiel für Support-Fälle bei Microsoft oder pseudonymisierte Betriebsdaten. Grundlage ist der Datenschutznachtrag von Microsoft mit Data Privacy Framework und Standardvertragsklauseln.

§ 7 Unterstützung bei Betroffenenrechten

  1. Wir unterstützen den Kunden mit technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO).
  2. Kontor bietet dafür heute:
    1. Löschung einer Person aus dem Verzeichnis mit ihren E-Mails, Messdaten, Terminen, Transkripten und Tickets (Admin),
    2. eine Widerspruchsliste (Art. 21 DSGVO) für E-Mail-Messung,
    3. Auskunftskopie für Bewerbende als ZIP (Admin),
    4. Exporte der Listen als CSV (nach Rolle).
  3. Wo Kontor keine Funktion hat (zum Beispiel eine Auskunft über alle Module zu einer Person), stellen wir die Daten auf Anfrage innerhalb von [10] Werktagen zusammen.
  4. Richtet sich eine betroffene Person an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst.

§ 8 Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO mit den Informationen, die uns vorliegen, insbesondere mit den Unterlagen dieses Vertrags und Auskünften zu den Datenflüssen von Kontor für eine Datenschutz-Folgenabschätzung.

§ 9 Meldung von Verletzungen

  1. Stellen wir eine Verletzung des Schutzes personenbezogener Daten des Kunden fest, melden wir sie dem Kunden unverzüglich, spätestens innerhalb von [48] Stunden nach Kenntnis, an die Kontaktperson laut Anlage 5.
  2. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Kontaktstelle. Was wir noch nicht wissen, reichen wir unverzüglich nach.
  3. Wir dokumentieren jede Verletzung und unterstützen den Kunden bei seiner Meldung an die Aufsichtsbehörde (72 Stunden, Art. 33 DSGVO) und an die betroffenen Personen.

§ 10 Nachweise und Kontrollen

  1. Wir stellen dem Kunden die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, insbesondere die aktuelle Anlage 3 und Anlage 4.
  2. Für die Azure-Dienste kann der Kunde die Prüfberichte von Microsoft im Service Trust Portal von Microsoft einsehen.
  3. Der Kunde kann Kontrollen selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von uns ist. Vor-Ort-Kontrollen meldet er mindestens [30] Tage vorher an. Sie finden während der Geschäftszeiten statt und höchstens einmal im Jahr, außer nach einer Verletzung nach § 9.
  4. [Den Aufwand für Kontrollen, der [einen] Arbeitstag im Jahr übersteigt, kann der Anbieter angemessen berechnen. – Prüfen.]

§ 11 Pflichten des Kunden

  1. Der Kunde informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
  2. Er benennt die Kontaktpersonen in Anlage 5 und hält sie aktuell.

§ 12 Ende des Auftrags

  1. Am Ende des Auftrags kann der Kunde seine Daten nach § 13 der Nutzungsbedingungen exportieren.
  2. Danach löschen wir alle Daten der Instanz: Datenbank, Speicher, Schlüsseltresor und Protokolle. Sicherungen laufen nach ihrer Aufbewahrungsfrist ab (Anlage 3). Wir bestätigen die Löschung in Textform.
  3. Eine Pflicht zur Aufbewahrung nach EU- oder deutschem Recht bleibt unberührt. Betroffene Daten sperren wir für jede andere Verwendung.

§ 13 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
  2. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor.
  3. Änderungen bedürfen der Textform.

Anlage 1: Gegenstand der Verarbeitung je Modul

Zweck aller Module: Bereitstellung und Betrieb von Kontor für die eigenen Geschäftszwecke des Kunden: Akquise, Vertrieb, Angebote, Projekte, Zusammenarbeit, Support und Verwaltung.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Kunden bestimmten Empfänger, Einschränken und Löschen. Bei KI-Funktionen zusätzlich die Verarbeitung durch Sprachmodelle (Anlage 1a).

Besondere Kategorien (Art. 9 DSGVO): Kontor ist dafür nicht bestimmt. Sie können in Lebensläufen, E-Mails, Transkripten oder Tickets vorkommen, wenn Dritte sie dort hineinschreiben.

Modul Betroffene Personen Datenarten
Anmeldung und Nutzung (immer) Nutzer des Kunden Name, E-Mail, Entra-Objekt-ID, Rollen, Sitzungen, Push-Abonnements, Fehler- und Betriebsprotokolle
Ausschreibungen Ansprechpartner von Vergabestellen Name, Funktion, dienstliche Kontaktdaten aus Bekanntmachungen und Unterlagen
Projektakquise Ansprechpartner bei Auftraggebern und Vermittlern; Nutzer und Team des Kunden Name, Funktion, Firma, E-Mail, Telefon, Inhalte der Projektangebote, Bewerbungsschreiben, Antworten, Verlauf; Profile und Skills des Teams
Anfragen Personen, die über die Website des Kunden anfragen Name, Firma, E-Mail, Telefon, Nachricht, Einordnung, Antwortentwurf
Angebote und Angebotswerkstatt Kundenkontakte; Team des Kunden Kontaktdaten, Angebotsinhalte, Rollen, Sätze
Team, Sätze, Einsätze, Personalzusagen Beschäftigte und freie Mitarbeitende des Kunden Name, Rolle, Skills, Verfügbarkeit, Tages- und Kostensätze, Auslastung, Zusagen
Kontakte (CRM), Recherche, Anreicherung Geschäftskontakte Name, Funktion, Firma, geschäftliche E-Mail und Telefon, Standort, Profil-URLs (z. B. LinkedIn, XING), Foto, Notizen, Kontaktverlauf, Herkunft jedes Werts (Quelle, Datum, Anbieter)
Browser-Plugin Personen, deren Profil oder Stellenanzeige der Nutzer öffnet Inhalt der offenen Seite zum Zeitpunkt des Klicks; beim Speichern die Felder wie im CRM
Postfächer und Senden Absender und Empfänger von E-Mails mit Kontakten aus dem Verzeichnis Kopfdaten, Betreff, Inhalt, Anhänge-Metadaten; private markierte E-Mails werden nicht gespeichert
E-Mail-Messung (nur wenn eingeschaltet) Empfänger Öffnungen und Klicks mit Zeit und Art; keine IP-Adresse, kein User-Agent gespeichert
Newsletter Abonnenten E-Mail, Name, Sprache, Einwilligungsnachweis, Abmeldung, Messung mit Einwilligung
Termine und Gesprächsprotokolle Gesprächspartner und Nutzer Name, E-Mail, Telefon, Termin, Teams-Transkript, Zusammenfassung, Gesprächsergebnis, Einschätzung
Deals und Projekte Kundenkontakte; Projektteam Kontaktdaten, Beträge, Notizen, Stunden, Kosten, Abnahmeprotokolle, Statusberichte (mit Arbeitsstand aus Azure DevOps), Freigaben von Stundennachweisen
Zeiterfassung Beschäftigte und freie Mitarbeitende Arbeitszeiten, Buchungsziele, Änderungsprotokoll (wer, wann, vorher, nachher), Freigaben
Lexware-Office-Anbindung (nur wenn verbunden) Kunden des Kunden Name, Anschrift, E-Mail, Angebots- und Rechnungsdaten
Support-Desk und Chat-Assistent Personen, die Tickets schreiben; Nutzer Name, E-Mail, Nachrichten, Anhänge, Chat-Verlauf bei Übergabe an eine Person
Eliza (Wissen) Personen, die in Dokumenten des Kunden vorkommen; Nutzer Inhalte aus Loop/SharePoint, Azure DevOps und Profilen; Fragen und Antworten (30 Tage)
Coach (nur wenn eingeschaltet) Nutzer genutzte Bereiche und Funktionen je Tag (30 Tage), Monatssummen (24 Monate)
Bewerbungen (nur wenn freigeschaltet) Bewerbende, Empfohlene, Interviewer Stammdaten, Lebenslauf und Unterlagen, Korrespondenz, Bewertungen der Interviewer, Talentpool-Einwilligung, Löschprotokoll ohne Namen
Auswertungen – Summen aus den übrigen Modulen

Anlage 1a: KI-Verarbeitung

Anlage 2: Löschfristen (Voreinstellungen)

Die Fristen sind Voreinstellungen von Kontor. Der Kunde kann sie je Instanz anpassen [heute über die Konfiguration, eine Seite dafür folgt].

Daten Frist
Anfragen ohne Auftrag 90 Tage
Projekt- und Stellenangebote aus der Akquise ohne Zuschlag 90 Tage
Kontakte ohne Austausch 36 Monate
Abgeschlossene Deals 36 Monate nach Abschluss
E-Mail-Messung 12 Monate
Newsletter: unbestätigte Anmeldungen / Nachweis nach Abmeldung / Messung 30 Tage / 36 Monate / 12 Monate
Termine / Transkripte 180 Tage / 90 Tage
Support-Tickets 24 Monate nach Abschluss
Eliza-Verlauf 30 Tage
Coach 30 Tage (Rohdaten), 24 Monate (Monatssummen)
Bewerbungen / Talentpool / unentschiedene / Löschprotokoll 6 Monate nach Entscheidung / 24 Monate / 12 Monate / 3 Jahre
Zeiterfassung, Projekte, Angebote, Ausschreibungen keine automatische Löschung [Frist festlegen]
Sicherungen der Datenbank 7 Tage (Wiederherstellung auf einen Zeitpunkt)
Gelöschte Dateien und Ordner im Speicher (vorläufiges Löschen) 14 Tage, danach endgültig
Betriebsprotokolle (Application Insights, Front Door) 30 Tage

Anlage 3: Technische und organisatorische Maßnahmen

Siehe toms.md.

Anlage 4: Unterauftragsverarbeiter

Siehe unterauftragsverarbeiter.md.

Anlage 5: Kontaktpersonen und Weisungsberechtigte

Rolle Kunde Anbieter
Weisungsberechtigt [Name, E-Mail] Görkem Ballmüller, [E-Mail]
Meldungen nach § 9 [Name, E-Mail, Telefon] [datenschutz@-Adresse]
Datenschutzbeauftragter [falls benannt] [falls benannt]